3 modulis · 3.2
Domenų ir nuorodų skaitymas
3 modulis: Sukčiavimo (phishing) atpažinimas · Skaitymo trukmė: 13 min.
Mokymosi tikslas: Po šios pamokos galėsite nustatyti tikrą kiekvienos nuorodos tikslą: rasite registruojamą domeną pagal viešą priesagų sąrašą ir atpažinsite subdomeno, kelio ir @ gudrybes, apgaulingus domenus, punycode, trumpintuvus ir atviras peradresacijas.
Pagrindinės sąvokos: URL, schema, host (serveris), registruojamas domenas, vieša priesaga, subdomenas, kelias, apgaulingas domenas (lookalike), typosquatting, homografas, punycode (xn--), URL trumpintuvas, atvira peradresacija
Nuorodos dalys
Interneto adresas vadinamas URL. Jį sudaro pastovios dalys:
https://inlog.mijnbank.example:443/klant/overzicht?taal=nl#saldo| Dalis | Šiame pavyzdyje | Ką ji daro |
|---|---|---|
| Schema | https | Kaip naršyklė užmezga ryšį |
| Serveris (Host) | inlog.mijnbank.example | Su kuriuo serveriu bendraujate |
| Prievadas (retai matomas) | 443 | Serverio „durų numeris“ |
| Kelias (Pad) | /klant/overzicht | Kuris to serverio puslapis |
| Užklausa | ?taal=nl | Papildomi duomenys puslapiui |
| Fragmentas | #saldo | Vieta puslapyje |
Serveris (host) yra vienintelė dalis, kuri nustato, kam priklauso svetainė. Kelią, užklausą ir fragmentą nustato pats to serverio savininkas. Ten gali būti bet kas, net kitos organizacijos pavadinimas.
Serverio (host) pavadinimą skaitykite iš dešinės į kairę, pagal etiketes. Pabaiga yra svarbiausia.
Registruojamas domenas ir viešų priesagų sąrašas
Ne visas serverio (host) pavadinimas parodo savininką, o tik viena jo dalis: registruojamas domenas. Tai pavadinimas, kurį kažkas užregistravo pas registratorių. Viskas, kas yra kairiau, yra subdomenai, kuriuos savininkas gali kurti kiek nori.
Norint rasti registruojamą domeną, reikia žinoti, kur apskritai galima užsiregistruoti savo pavadinimą. Tokia dalis vadinama viešąja priesaga. Pavyzdžiai: com, nl ir example, bet taip pat co.uk: Jungtinėje Karalystėje įmonė registruoja pavadinimą po co.uk. Tokiu atveju registruojamas domenas yra vieša priesaga plius viena etiketė prieš ją.
| Serveris (Host) | Vieša priesaga | Registruojamas domenas |
|---|---|---|
www.example.com | com | example.com |
inlog.mijnbank.example | example | mijnbank.example |
www.shop.[pavadinimas].co.uk | co.uk | [pavadinimas].co.uk |
mijnbank.co.uk.example | example | uk.example |
Taisyklė „imkite paskutines dvi dalis“ taigi neveikia. Prie www.shop.[pavadinimas].co.uk gautumėte co.uk, o tai niekam konkrečiai nepriklauso. Paskutinis pavyzdys parodo, kad co.uk pavadinimo viduryje nieko nereiškia: ten savininkas yra uk.example.
Kurios priesagos yra viešos, nurodyta Public Suffix List sąraše (publicsuffix.org), kurį pradėjo Mozilla ir kurį dabar prižiūri bendruomenė. Naršyklės juo naudojasi, be kita ko, nustatydamos, kurios svetainės gali dalytis slapukais, ir norėdamos išskirti svarbiausią adreso dalį. Sąraše taip pat yra „privačių“ priesagų dalis: paslaugos, kuriose klientai gauna savo subdomeną, pavyzdžiui, kai kurie tinklaraščių ir projektų puslapių talpinimo paslaugų teikėjai. Kiekvienas klientas po tokia priesaga laikomas atskiru savininku.
Jei priesagos nėra sąraše, galioja numatytoji taisyklė: paskutinė etiketė yra priesaga. Todėl prie .example registruojamas domenas visada yra paskutinės dvi etiketės.
Gudrybės su subdomenu, keliu ir @
Dabar, kai žinote, kur nurodomas savininkas, matysite, kaip sukčiai klaidina Jūsų akis. Jie įterpia laukiamą pavadinimą kitoje nuorodos vietoje.
Subdomeno gudrybė.
https://mijnbank.example.inlog-check.example/loginPriekyje matote mijnbank.example. Tačiau skaitykite iš dešinės: priesaga yra example, registruojamas domenas yra inlog-check.example, ir jis priklauso sukčiui. Sukčius nusipirko šį domeną ir pats prieš jį pridėjo subdomeną mijnbank.example.
Kelio gudrybė.
https://inlog.example/mijnbank.example/klant/loginServeris (host) yra inlog.example ir nieko daugiau. Viskas po pirmo vienpusio / yra kelias, ir jį pasirenka pats inlog.example savininkas.
@ gudrybė.
https://mijnbank.example@aanvaller.example/inloggenURL prieš serverio (host) pavadinimą gali turėti vartotojo dalį, kuri baigiasi ženklu @ (URL standartas, RFC 3986, tai vadina userinfo). Viskas prieš @ taigi nėra serveris (host). Naršyklė nueina į aanvaller.example ir niekur kitur. Kai kurios naršyklės perspėja arba pašalina vartotojo dalį, bet tuo nepasikliaukite.
Naudingas pastovus metodas: suraskite pirmą / po https://. Tai, kas prieš jį, yra serveris (host) (su galima vartotojo dalimi ir @). Jei yra @, serveris (host) prasideda tik po jo. Skaitykite serverio (host) pavadinimą iš dešinės į kairę, kol rasite registruojamą domeną.
Apgaulingi domenai, typosquatting ir punycode
Apgaulingas domenas (lookalike) yra savas domenas, panašus į kito domeną:
| Apgaulingas domenas | Gudrybė |
|---|---|
rnijnbank.example | rn daugelyje šriftų atrodo kaip m |
mijnbnak.example | sukeistos dvi raidės (typosquatting: lažinimasis dėl rašybos klaidos) |
mijnbank-veilig.example | pridėtas žodis su brūkšneliu: visai kitas domenas |
mijnbank-example.example | taškas pakeistas brūkšneliu |
mijnbank.example.inlog-check.example | tikras domenas kaip subdomenas (žr. aukščiau) |
Dar vienas žingsnis yra homografas: domenas su raidėmis iš kito rašto, kurios atrodo vienodai. Kirilicos а atrodo kaip lotyniška a, bet kompiuteriui tai yra skirtingas simbolis. Domenų vardai su tokiais simboliais vadinami tarptautiniais domenų vardais. DNS atpažįsta tik raides nuo a iki z, skaičius ir brūkšnelį, todėl toks pavadinimas konvertuojamas į punycode (RFC 3492): formą, kuri prasideda xn--.
mijnbаnk.example (met een Cyrillische а)
xn--mijnbnk-6fg.example (dezelfde naam in punycode)Jei adrese matote xn--, tai reiškia, kad pavadinime yra simbolių ne iš a-z intervalo. Tai gali būti visiškai normalu (daugelis kalbų turi diakritinius ženklus ar savą raštą), bet jei pavadinimas kitaip atrodo olandiškas ar angliškas, tai stiprus pavojaus signalas. Naršyklės turi taisykles, pagal kurias įtartinus derinius rodo kaip punycode; pavyzdžiui, Chrome rodo etiketę su mišriu lotynišku ir kirilišku raštu kaip xn--. Tačiau šios taisyklės neaprėpia visko, o laiške ar pokalbyje dažnai matote tiesiog tvarkingas raides.
Trumpintuvai ir atviros peradresacijos
URL trumpintuvai paverčia ilgą nuorodą trumpa, pavyzdžiui, https://kort.example/a8Xk2. Patogu, bet tikslo nematote. Nuorodos registruojamas domenas priklauso trumpintuvui, o ne organizacijai, kurios tikitės. Jei bankas ar tiekėjas prašo prisijungti per sutrumpintą nuorodą: to nedarykite.
Atvira peradresacija yra tikros svetainės puslapis, kuris nukreipia lankytojus į bet kurį nuorodoje nurodytą adresą:
https://mijnbank.example/doorsturen?naar=https://aanvaller.example/inloggenServeris (host) iš tikrųjų yra mijnbank.example, bet po vieno paspaudimo atsiduriate aanvaller.example net nepastebėję. Taip pat per trumpintuvą ar naujienlaiškio sekimo nuorodą galite atsidurti kitur nei pirmasis domenas. Pamoka: po paspaudimo vėl pažiūrėkite į adreso juostą, prieš ką nors įvesdami. O spynelė? Ji reiškia tik tai, kad ryšys yra šifruotas. Netikros svetainės taip pat turi galiojantį sertifikatą.
Praktikoje: kaip tai atrodo
Kompiuteryje užveskite pelę ant nuorodos, nespausdami jos; tikras tikslas atsiras lange apačioje kairėje arba iškylančiame burbule. Daugumoje pašto programų ir žiniatinklio pašto tai taip pat veikia. Telefone palaikykite nuorodą paspaudę: pasirodys meniu su adresu viršuje. Tada nepasirinkite „atidaryti“.
Atkreipkite dėmesį į dvi spąstus:
- Matomas tekstas nėra tikslas. Laiške ant mygtuko ar tekste gali būti
https://mijnbank.example, o apačioje esanti nuoroda veda visai kitu adresu. Svarbu tik tai, ką matote užvedę pelę ar ilgai paspaudę. - Ilgi adresai nukerpami. Telefonai dažnai rodo tik pradžią. Būtent svarbi pabaiga tada dingsta. Slinkite arba bakstelėkite adrese, kad pamatytumėte jį visą.
Jei abejojate, įveskite patys žinomą adresą arba naudokite žymę. Nacionalinis kibernetinio saugumo centras (NKSC) taip pat rekomenduoja nuorodą iš pradžių pasitikrinti.
Santrauka
- Tik serveris (host) nustato, kam priklauso svetainė. Kelią, užklausą ir viską prieš
@pasirenka pats sukčius. - Registruojamas domenas yra vieša priesaga plius viena etiketė. Naudokite Public Suffix List, o ne „paskutines dvi dalis“ (prisiminkite
co.uk). - Skaitykite serverio (host) pavadinimą iš dešinės į kairę. Tikras domenas priekyje kaip subdomenas yra klasikinė gudrybė.
- Apgaulingi domenai: raidžių sukeitimas, papildomi žodžiai, homografai.
xn--reiškia simbolius ne iš a-z intervalo. - Trumpintuvai slepia tikslą, atviros peradresacijos Jus nukreipia. Po paspaudimo vėl pažiūrėkite į adreso juostą.
Testas (quiz)
Užduotis
Užduotis A3.2: Registruojamo domeno nustatymas. Gausite aštuonias nuorodas. Prie kiekvienos nuorodos įrašykite registruojamą domeną ir nurodykite, ar nuoroda atitinka tikrą organizaciją. Programa patikrins Jūsų atsakymą pagal Public Suffix List.
Užduotis A3.2b: Apgaulingos nuorodos. Aštuonios nuorodos su @ gudrybėmis, punycode, trumpintuvais ir peradresacijos puslapiais. Prie kiekvienos nuorodos įrašykite, į kurį domeną patenkate, arba pasirinkite „nematyti“.
Skaitykite daugiau
Veiksmai WebOké straipsniuose galioja WebOké aplinkai; pas kitus teikėjus tai veikia panašiai.
- Ar šis laiškas tikrai yra iš WebOké? Kaip atpažinti sukčiavimą (phishing) ir pasinaudoti akcijos kodu
- DNS kursas apie domenų vardus ir kaip juos skaityti: https://www.weboke.lt/dns-cursus
- Nacionalinis kibernetinio saugumo centras (NKSC) apie klastojimą (spoofing): https://www.ncsc.nl/phishing/spoofing
- Public Suffix List: https://publicsuffix.org/
- RFC 3986, URL sandara (be kita ko, userinfo): https://www.rfc-editor.org/rfc/rfc3986
- RFC 3492, Punycode: https://www.rfc-editor.org/rfc/rfc3492
- Chromium, kada naršyklė rodo tarptautinį pavadinimą kaip punycode: https://chromium.googlesource.com/chromium/src/+/main/docs/idn.md